【漏洞预警】Apache CloudStack 未授权命令注入漏洞CVE-2024-38346

文章预览

漏洞描述: CloudStack是一个开源的具有高可用性及扩展性的云计算平台，同时是一个开源云计算解决方案,Apache CloudStack集群服务运行在未认证端口上（默认为9090端口），攻击者可以滥用该端口,在目标hypervisor和CloudStack 管理服务器主机上运行任意命令，其中一些命令存在命令注入漏洞,可以通过主机上的代理以特权用户身份执行任意系统命令,这可能导致CloudStack 管理的基础架构的机密性、完整性和可用性完全受损。 修复建议: 正式防护方案: 厂商已发布补丁修复漏洞,用户请尽快更新至安全版本: Apache CloudStack >= 4.18.2.1 Apache CloudStack >= 4.19.0.2 与此同时,请做好资产自查以及预防工作,以免遭受黑客攻击。 参考链接: https://lists.apache.org/thread/6l51r00csrct61plkyd3qg3fj99215d1 https://cloudstack.apache.org/blog/security-release-advisory-4.19.0.2-4.18.2.1 ………………………………